.. | rex field=line max_match=100 "(?[\p{Hiragana}]+)" などの正規表現ではいかがでしょうか。 以下、サンプルになります。 $ ./splunk search '| inputlookup jp.csv | head 2 | rex field=line max_match=100 "(?<word>\p{Han}+)"' line word ----------------------------------------------------------------------------------- ---- splunk Enterpriseとは業界をリードする運用インテリジェンスのプラットフォーム 業界 運用 ITシステムやテクノロジー基盤（Webサイト、アプリケーション、サーバー、ネットワーク、 基盤 $ ./splunk search '| inputlookup jp.csv | rex field=line max_match=100 "(?<word>[\p{Katakana}ー]+)" | top word' word count percent ---------------------- ----- --------- マシンデータ 2 28.571429 ネットワーク 2 28.571429 トランザクション 2 28.571429 リード 1 14.285714 リアルタイム 1 14.285714 モバイル 1 14.285714 プラットフォーム 1 14.285714 トラブルシューティング 1 14.285714 テクノロジー 1 14.285714 センサー 1 14.285714 ... View more

UF→Indexerと転送する過程で、保存するIndexを書き換える場合は、indexer上で設定を実施します。 以下のようにprops.confとtransforms.confを用意していただいて、UFから転送されたログのhost情報を参照しながら、 保存先indexを変更します。今回の場合は、UF側でIndexの指定がされていないので、デフォルトのindexに保存されるとおもいます。 $ cat props.conf [host::www1] TRANSFORMS-to_index1 = to_index1 [host::www2] TRANSFORMS-to_index2 = to_index2 [host::www3] TRANSFORMS-to_index3 = to_index3 $ cat transforms.conf [to_index1] REGEX = .* DEST_KEY = _MetaData:Index FORMAT = index1 [to_index2] REGEX = .* DEST_KEY = _MetaData:Index FORMAT = index2 [to_index3] REGEX = .* DEST_KEY = _MetaData:Index FORMAT = index3 以上を設定して、以下の設定をUFにしてサーチをおこなうと、www1がindex1、www2がindex2、www3がindex3にIndexされるようになります。なお、Index1/2/3は自動的に作成されるわけではなく、予め準備しておく必要があります。 $ ./splunk/bin/splunk search 'index=* | stats count by index host sourcetype' -auth admin:changeme index host sourcetype count ------ ------------ ----------------------- ----- index1 www1 access_combined_wcookie 13628 index1 www1 secure 10593 index2 www2 access_combined_wcookie 12912 index2 www2 secure 9683 index3 www3 access_combined_wcookie 12992 index3 www3 secure 9983 main mailsv secure 9829 main vendor_sales vendor_sales 30244 ちなみに、transforms.confを利用することで、実際のログの内容を見ながらIndex保存先の振り分け等ができますので、以下参考にしてみてください。 http://answers.splunk.com/answers/50761/how-do-i-route-data-to-specific-index-based-on-a-field.html また、transforms.confの設定方法やサンプルは以下に記載されております。とくにhost, source, sourcetype, indexを参照される際、SOURCE_KEYやDEST_KEY、REGEXあたりをみていただければと思います。 http://docs.splunk.com/Documentation/Splunk/latest/admin/Transformsconf ... View more

srcip=172.029.032.002 で入ってきた場合、手っ取り早くやるには、HiroshiSatoさんのアプローチがよいとおもいます。 evalでやる以外に、rexコマンドのsedオプションで0をとってしまうという方法がありますので、共有いたします。 ... | rex field=srcip mode=sed "s/\.0+/./g" 上記をうまくsrcip=$IP$の箇所にいれていただければ可能かと思います。 以下参考にしていただければと思います。 srcip=[| stats count | eval query="$IP$" | rex field=query mode=sed "s/\.0+/./g" | fields - count] あとは、CIDRとして通常のサーチにいれていただければもっと単純にいくとおもいます。 ip=172.029.032.002/32 などとサーチしていただくと、 172.029.032.002 172.29.32.2 172.029.032.002/32 上記３つを引っ掛けることができます。 方法はいくつかありますが、どの方法がサーチの仕方にあっているか判断していただければと。 ... View more

サーチするときに、index=test といれてみてはどうでしょか？ ... View more

５秒ごとにStream Appに問い合わせしています。頻度は、streamfwd.xml で変更が可能です。 Note: streamfwd pings splunk_app_stream at default intervals of 5 seconds. To change the ping interval, use the element in streamfwd.xml. 参考：Streamドキュメント ... View more